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Предисловие 

У термина «геѵегзе епдіпеегіпд» несколько популярных значений: 1) исследование скомпилированных программ; 2) ска- 
нирование трехмерной модели для последующего копирования; 3) восстановление структуры СУБД. Настоящий сборник 
заметок связан с первым значением. 
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шіпі-ЧаВО 

О: Зачем в наше время нужно изучать язык ассемблера? 

А: Если вы не разработчик ОС 8 , вам наверное не нужно писать на ассемблере: современные компиляторы оптимизируют 
код намного лучше человека 9 . К тому же, современные СРІІ 10 это крайне сложные устройства и знание ассемблера вряд 
ли поможет узнать их внутренности. Но все-таки остается по крайней мере две области, где знание ассемблера может 
хорошо помочь: 1) исследование плаІ.ѵѵаге ( зловредов ) с целью анализа; 2) лучшее понимание вашего скомпилирован- 
ного кода в процессе отладки. Таким образом, эта книга предназначена для тех, кто хочет скорее понимать ассемблер, 
нежели писать на нем, и вот почему здесь масса примеров, связанных с результатами работы компиляторов. 

О: Я кликнул на ссылку внутри РОЕ-документа, как теперь вернуться назад? 

А: В АбоЬе АсгоЬаТ Кеасіег нажмите сочетание АІТ+І_еЛ:Аггоѵѵ. 

О: Я не могу понять, стоит ли мне заниматься геѵегэе епдіпеегіпд-ом. 

А: Наверное, среднее время для освоения сокращенной БІТЕ-версии - 1-2 месяца. 

О: Могу ли я распечатать эту книгу? Использовать её для обучения? 

А: Конечно, поэтому книга и лицензирована под лицензией Сгеаііѵе Сотплопз. Кто-то может захотеть скомпилировать 
свою собственную версию книги, читайте здесь об этом. 

О: Я хочу перевести вашу книгу на другой язык. 

А: Прочитайте мою заметку для переводчиков. 

О: Как можно найти работу геѵегзе епдіпеег-а? 

А: На гесісііі:, посвященному КЕ 11 , время от времени бывают Ьігіпд ТИгеасІ (2013 ОЗ, 2014). Посмотрите там. В смежном 
субреддите «пеізес» имеется похожий тред: 2014 02. 

О: Куда пойти учиться в Украине? 

А: НТУУ «КПИ»: «Аналіз програмного коду та бінарних вразливостей»; факультативы. 

О: У меня есть вопрос... 

А: Напишите мне его емейлом (беппІ5(а)уигісИеѵ.сот). 

Операционная Система 

Очень хороший текст на эту тему: [РодІЗ] 

10 СепІгаІ ргосеззіпд ипіі 
ОесІсІІІ.сот/г/КеѵегэеЕпдіпеегіпд/ 
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ОГЛАВЛЕНИЕ 



ОГЛАВЛЕНИЕ 



О переводе на корейский язык 

В январе 2015, издательство Асогп в Южной Корее сделало много работы в переводе и издании моей книги (по состоянию 
на август 2014) на корейский язык. 

Она теперь доступна на их сайте. 

Переводил ВуипдНо Міп (Іѵѵійег/ІаізЭ). 

Обложку нарисовал мой хороший знакомый художник Андрей Нечаевский: ІасеЬоок/апсІусІіпка. 

Они также имеют права на издании книги на корейском языке. 

Так что если вы хотите иметь настоящую книгу на полке на корейском языке и хотите поддержать мою работу, вы можете 
купить её. 



Часть I 



Образцы кода 




Все познается в сравнении 



Автор неизвестен 

Когда автор этой книги учил Си, а затем Си++, он просто писал небольшие фрагменты кода, компилировал и смотрел, 
что получилось на ассемблере. Так было намного проще понять 12 . Он делал это такое количество раз, что связь между 
кодом на Си/Си++ и тем, что генерирует компилятор, вбилась в его подсознание достаточно глубоко. После этого не 
трудно, глядя на код на ассемблере, сразу в общих чертах понимать, что там было написано на Си. Возможно это поможет 
кому-то ещё. 

Иногда здесь используются достаточно древние компиляторы, чтобы получить самый короткий (или простой) фрагмент 
кода. 



Уровни оптимизации и отладочная информация 

Исходный код можно компилировать различными компиляторами с различными уровнями оптимизации. В типичном 
компиляторе этих уровней около трёх, где нулевой уровень - отключить оптимизацию. Различают также направления 
оптимизации кода по размеру и по скорости. 

Неоптимизирующий компилятор работает быстрее, генерирует более понятный (хотя и более объемный) код. Оптими- 
зирующий компилятор работает медленнее и старается сгенерировать более быстрый (хотя и не обязательно краткий) 
код. 

Наряду с уровнями и направлениями оптимизации компилятор может включать в конечный файл отладочную информа- 
цию, производя таким образом код, который легче отлаживать. 

Одна очень важная черта отладочного кода в том, что он может содержать связи между каждой строкой в исходном коде 
и адресом в машинном коде. Оптимизирующие компиляторы обычно генерируют код, где целые строки из исходного 
кода могут быть оптимизированы и не присутствовать в итоговом машинном коде. 

Практикующий геѵегзе епдіпеег обычно сталкивается с обоими версиями, потому что некоторые разработчики включают 
оптимизацию, некоторые другие - нет. Вот почему мы постараемся поработать с примерами для обоих версий. 



12 Честно говоря, он и до сих пор так делаю, когда не понимают, как работает некий код. 
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ГЛАВА 1. КРАТКОЕ ВВЕДЕНИЕ В СРІІ 



ГЛАВА 1. КРАТКОЕ ВВЕДЕНИЕ В СРІІ 



Глава 1 

Краткое введение в СРУ 



СРІІ это устройство исполняющее все программы. 

Немного терминологии: 

Инструкция : примитивная команда СРІІ. Простейшие примеры: перемещение между регистрами, работа с памятью, 
примитивные арифметические операции . Как правило, каждый СРІІ имеет свой набор инструкций (І5А 1 ). 

Машинный код : код понимаемый СРІІ. Каждая инструкция обычно кодируется несколькими байтами. 

Язык ассемблера : машинный код плюс некоторые расширения, призванные облегчить труд программиста: макросы, 
имена, и т.д. 

Регистр СРІІ : Каждый СРІІ имеет некоторый фиксированный набор регистров общего назначения (СРВ 2 ). и 8 в х86, и 16 
в х86-64, и 16 в АРМ. Проще всего понимать регистр как временную переменную без типа . Можно представить, 
что вы пишете на ЯП 3 высокого уровня и у вас только 8 переменных шириной 32 (или 64) бита . Можно сделать 
очень много используя только их! 

Откуда взялась разница между машинным кодом и ЯП высокого уровня? Ответ в том, что люди и СРІІ-ы отличаются 
друг от друга - . Человеку проще писать на ЯП высокого уровня вроде Си/Си++, .Іаѵа, РуТНоп, а СРІІ проще работать 

с абстракциями куда более низкого уровня . Возможно, можно было бы придумать СРІІ исполняющий код ЯП высокого 
уровня, но он был бы значительно сложнее, чем те, что мы имеем сегодня . И наоборот, человеку очень неудобно 
писать на ассемблере из-за его низкоуровневое™, к тому же, крайне трудно обойтись без мелких ошибок. Программа, 
переводящая код из ЯП высокого уровня в ассемблер называется компилятором 4 . 



1 1 пБІгисТіоп 5еІ АгсИІІесТиге (Архитектура набора команд) 

2 6епегаІ. Ригрозе Кедізіегз (регистры общего пользования) 

3 Язык Программирования 

4 В более старой русскоязычной литературе также часто встречается термин «транслятор». 
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ГЛАВА 2. ПРОСТЕЙШАЯ ФУНКЦИЯ 



ГЛАВА 2. ПРОСТЕЙШАЯ ФУНКЦИЯ 



Глава 2 

Простейшая функция 



Наверное, простейшая из возможных функций это та что возвращает некоторую константу: 
Вот, например: 

Листинг 2.1: Код на Си/Си++ 

іпи -ГО 
{ 

геТигп 123; 

}; 



Скомпилируем её! 



2.1. х86 

И вот что делает оптимизирующий ССС: 

Листинг 2.2: Оптимизирующий ССС/М5ѴС (вывод на ассемблере) 
і: 

тоѵ еах, 123 
геТ 



Здесь только две инструкции. Первая помещает значение 123 в регистр ЕАХ, который используется для передачи воз- 
вращаемых значений. Вторая это КЕТ, которая возвращает управление в вызывающую функцию. Вызывающая функция 
возьмет результат из регистра ЕАХ. 

Нужно отметить, что название инструкции МОѴ в х86 и АКМ сбивает с толку. На самом деле, данные не перемещаются, 
а скорее копируются. 
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ГЛАВА 3 НЕИО, ѴЮШ-О! 



ГЛАВА 3 НЕПО, МЖО/ 



Глава 3 

Неііо, ѵѵогісі! 



Продолжим, используя знаменитый пример из книги “ТНе С ргодгаттіпд І_апдыаде”[Кег88]: 
#іпс1исіе <з1:сііо . б> 

іпТ таіп() 

{ 

ргіпТ'РС'ИеІІо, ѵѵог1сІ\п" ) ; 
геТигп 0; 

} 



3.1. х86 

3.1.1. М5ѴС 

Компилируем в М5ѴС 2010: 
сі 1 . срр / Ра 1 . азт 



(Ключ /Ра означает сгенерировать листинг на ассемблере) 

Листинг 3.1: М5ѴС 2010 



С0ІЧ5Т 


5ЕСМЕІМТ 




І5С3830 


РВ 


' беііо, ѵѵогісі ' , 


С0ІЧ5Т 


ЕШ5 




Р6ВІЛС 


_таіп 




ЕХТРШ 


_ргіпТі : 


РРОС 


; РипсТіоп сотрііе Ріа^з: /ОсіТр 


_ТЕХТ 


5ЕСМЕІМТ 




_таіп 


РР0С 






ризб 


еЬр 




тоѵ 


еЬр, езр 




ризб 


0РР5ЕТ $5С3830 




саіі 


_ргіпТ1 : 




асісі 


езр, 4 




хог 


еах, еах 




рор 


еЬр 




геТ 


0 


_таіп 


ЕШР 




ТЕХТ 


ЕШ5 





Компилятор сгенерировал файл 1 . оЬд, который впоследствии будет слинкован линкером в 1 . ехе. В нашем случае этот 
файл состоит из двух сегментов: С0ІМ5Т (для данных-констант) и _ТЕХТ (для кода). 

Строка Неііо , ѵѵогісі в Си/Си++ имеет тип сопзі сИаг[] [5$г13, р 176, 7.3.2], однако не имеет имени. Но компилятору 
нужно как-то с ней работать, поэтому он дает ей внутреннее имя $563830. 

Поэтому пример можно было бы переписать вот так: 
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ГЛАВА 3 НЕШЗ, V ЮКІО! 



ГЛАВА 3 НЕПО, Ѵ/ОКШ! 



#іпс1исіе <5Тсііо . И> 

сопзТ сИаг $5С3830[] = "Ие11о, ѵгаг1сІ\п"; 

іпТ таіп() 

{ 

ргіп1:Т($5С3830) ; 
геТигп 0; 

} 



Вернемся к листингу на ассемблере. Как видно, строка заканчивается нулевым байтом - это требования стандарта 
Си/Си++ для строк. Больше о строках в Си: 25.1.1 (стр. 112). 

В сегменте кода _ТЕХТ находится пока только одна функция: таіп( ). Функция таіп( ), как и практически все функции, 
начинается с пролога и заканчивается эпилогом 1 . 

Далее следует вызов функции ргіпіТ() : САН _ргіпіТ. Перед этим вызовом адрес строки (или указатель на неё) с 
нашим приветствием при помощи инструкции РІІ5Н помещается в стек. 

После того, как функция р г іпі: "Р ( ) возвращает управление в функцию таіп( ), адрес строки (или указатель на неё) всё 
ещё лежит в стеке. Так как он больше не нужен, то указатель стека (регистр Е5Р) корректируется. 

АРР Е5Р, 4 означает прибавить 4 к значению в регистре Е5Р. Почему 4? Так как это 32-битный код, для передачи 
адреса нужно 4 байта. В х64-коде это 8 байт. АОЭ Е5Р, 4 эквивалентно РОР регистр, но без использования какого- 
либо регистра 2 . 

Некоторые компиляторы, например, Іпіеі. С++ СотрНег, в этой же ситуации могут вместо АРР сгенерировать РОР ЕСХ 
(подобное можно встретить, например, в коде ОгасІ.е КРВМ5, им скомпилированном), что почти то же самое, только 
портится значение в регистре ЕСХ. Возможно, компилятор применяет РОР ЕСХ, потому что эта инструкция короче (1 
байт у РОР против 3 у АОР). 

Вот пример использования РОР вместо АРР из ОгасІ.е КРВМ5: 



Листинг 3.2: Огасіе КРВМБ 10.2 1_іпых (файл арр.о) 



. ТехТ : 0800029А 


ризБ 


еЬх 


.ТехТ :0800029В 


саіі 


ркзТгоСЬіІсІ 


. ТехТ : 080002А0 


рор 


есх 



После вызова ргіпіТО в оригинальном коде на Си/Си++ указано геіигп 0 - вернуть 0 в качестве результата функ- 
ции таіп(). В сгенерированном коде это обеспечивается инструкцией ХОК ЕАХ, ЕАХ. ХОК, как легко догадаться - 
«исключающее ИЛИ» 3 , но компиляторы часто используют его вместо простого МОѴ ЕАХ, 0 - снова потому, что опкод 
короче (2 байта у ХОК против 5 у МОѴ). 

Некоторые компиляторы генерируют 511В ЕАХ , ЕАХ, что значит отнять значение в ЕАХ от значения в ЕАХ, что в любом 
случае даст 0 в результате. 

Самая последняя инструкция КЕТ возвращает управление в вызывающую функцию. Обычно это код Си/Си++ СКТ 4 , кото- 
рый, в свою очередь, вернёт управление операционной системе. 



3.2. Х86-64 

3.2.1. М5ѴС - Х86-64 

Попробуем также 64-битный М5ѴС: 



Листинг 3.3: М5ѴС 2012 х64 



$562989 


РВ 


'Иеііо, ѵѵогісГ , 0АН, ООН 


таіп 


РК0С 






51іЬ 


гзр, 40 




Іеа 


гсх, 0РР5ЕТ РЬАТ : $502989 




саіі 


ргіпТТ 




хог 


еах, еах 



1 Об этом смотрите подробнее в разделе о прологе и эпилоге функции (4 (стр. 8)). 
2 Флаги процессора, впрочем, модифицируются 
3 \ѵікіресІіа 
4 С гипііте ИЬгагу 
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ГЛАВА 3 НЕИО, ѴЮКЮ! 



ГЛАВА 3 НЕПО, ѴѴОКШ/ 





асЩ 


гзр, 40 




геТ 


0 


таіп 


ЕШР 





В х86-64 все регистры были расширены до 64-х бит и теперь имеют префикс К-. Чтобы поменьше задействовать стек 
(иными словами, поменьше обращаться кэшу и внешней памяти), уже давно имелся довольно популярный метод пере- 
дачи аргументов функции через регистры (Іазісаіі). Т.е. часть аргументов функции передается через регистры и часть - 
через стек. В ѴѴІп64 первые 4 аргумента функции передаются через регистры КСХ, (ЮХ, К8, К9. Это мы здесь и видим: 
указатель на строку в ргіпР'РС ) теперь передается не через стек, а через регистр КСХ. 

Указатели теперь 64-битные, так что они передаются через 64-битные части регистров (имеющие префикс К-). Но для 
обратной совместимости можно обращаться и к нижним 32 битам регистров используя префикс Е-. 



Вот как выглядит регистр КАХ/ЕАХ/АХ/Аб в х86-64: 



у (номер байта) 6 5 4 


3 2 


1 


0 


КАХ хМ 








ЕАХ 




АХ 




АН 


АІ_ 



Функция таіп( ) возвращает значение типа іпі, который в Си/Си++, вероятно для лучшей совместимости и переносимо- 
сти, оставили 32-битным. Вот почему в конце функции таіп() обнуляется не КАХ, а ЕАХ, т.е. 32-битная часть регистра. 



Также видно, что 40 байт выделяются в локальном стеке. Это «збасіоѵѵ зрасе», которое мы будем рассматривать позже: 
8.2.1 (стр. 29). 



3.3. Вывод 

Основная разница между кодом х86/АКМ и х64/АВМ64 в том, что указатель на строку теперь 64-битный. Действительно, 
ведь для того современные СРІІ и стали 64-битными, потому что подешевела память, её теперь можно поставить в 
компьютер намного больше, и чтобы её адресовать, 32-х бит уже недостаточно. Поэтому все указатели теперь 64-битные. 
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ГЛАВА 4. ПРОЛОГ И ЭПИЛОГ ФУНКЦИЙ 



ГЛАВА 4. ПРОЛОГ И ЭПИЛОГ ФУНКЦИЙ 



Глава 4 

Пролог и эпилог функций 



Пролог функции это инструкции в самом начале функции. Как правило это что-то вроде такого фрагмента кода: 

ризН еЬр 

тоѵ еЬр, езр 

зиЬ езр, X 



Эти инструкции делают следующее: сохраняют значение регистра ЕВР на будущее, выставляют ЕВР равным Е5Р, затем 
подготавливают место в стеке для хранения локальных переменных. 

ЕВР сохраняет свое значение на протяжении всей функции, он будет использоваться здесь для доступа к локальным 
переменным и аргументам. Можно было бы использовать и Е5Р, но он постоянно меняется и это не очень удобно. 

Эпилог функции аннулирует выделенное место в стеке, восстанавливает значение ЕВР на старое и возвращает управле- 
ние в вызывающую функцию: 

тоѵ езр, еЬр 
рор еЬр 

геТ О 



Пролог и эпилог функции обычно находятся в дизассемблерах для отделения функций друг от друга. 



4.1. Рекурсия 

Наличие эпилога и пролога может несколько ухудшить эффективность рекурсии. 
Больше о рекурсии в этой книге: ?? (стр. ??). 
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Глава 5 

Стек 



Стек в информатике - это одна из наиболее фундаментальных структур данных 1 . 

Технически это просто блок памяти в памяти процесса + регистр Е5Р в х86 или Р5Р в х64, либо 5Р 2 в АРМ, который 
указывает где-то в пределах этого блока. 

Часто используемые инструкции для работы со стеком - это РІІ5Н и РОР (в х86 и ТНитЬ-режиме АРМ). РІІ5Н уменьша- 
ет Е5Р/Р5Р/5Р на 4 в 32-битном режиме (или на 8 в 64-битном), затем записывает по адресу, на который указывает 
Е5Р/Р5Р/5Р, содержимое своего единственного операнда. 

РОР это обратная операция - сначала достает из указателя стека значение и помещает его в операнд (который очень 
часто является регистром) и затем увеличивает указатель стека на 4 (или 8). 

В самом начале регистр-указатель указывает на конец стека. РІІ5Н уменьшает регистр-указатель, а РОР - увеличивает. 
Конец стека находится в начале блока памяти, выделенного под стек. Это странно, но это так. 



5.1. Почему стек растет в обратную сторону? 

Интуитивно мы можем подумать, что, как и любая другая структура данных, стек мог бы расти вперед, т.е. в сторону 
увеличения адресов. 

Причина, почему стек растет назад, вероятно, историческая. Когда компьютеры были большие и занимали целую комнату, 
было очень легко разделить сегмент на две части: для кучи и для стека. Заранее было неизвестно, насколько большой 
может быть куча или стек, так что это решение было самым простым. 

Начало кучи Вершина стека 

Неар ■» < Біаск 




В [КТ74] можно прочитать: 



ТНе изег-соге рагі оі ап ітаде із біѵісіесі іпіо іНгее ІюдісаІ. зедтепіз. ТНе ргодгат Іехі зедтепі Ьедіпз 
аі Іосаііоп 0 іп іЬе ѵігіиаі асісігезз зрасе. Оигіпд ехесиііоп, іНіз зедтепі із ѵѵгііе-ргоіесіесі апсі а зіпдіе 
сору оГ ІІ із зЬагесІ атопд аіі ргосеззез ехесиііпд іЬе зате ргодгат. Аі ТИе бгзі: 8К Ьуіе Ьоипсіагу аЬоѵе 
Ше ргодгат Техі: зедтепі іп 1Ие ѵігіиаі асісігезз зрасе Ьедіпз а попзИагесІ, ѵѵгіІаЫе сіаіа зедтепі, Иге зізе 
оі ѵѵНісИ тау Ье ехіепсіеб Ьу а зузіет саіі. Біагііпд аі іЬе ИідИезІ асісігезз іп іИе ѵігіиаі асісігезз зрасе із а 
зіаск зедтепі, ѵѵИісЬ аиІотаІісаНу дгоѵѵз сіоѵѵпѵѵагсі аз Иге Иагсіѵѵаге’з зіаск роіпіег йисіиаіез. 



Это немного напоминает как некоторые студенты пишут два конспекта в одной тетрадке: первый конспект начинает- 
ся обычным образом, второй пишется с конца, перевернув тетрадку. Конспекты могут встретиться где-то посредине, в 
случае недостатка свободного места. 

1 \л/ікіресІіа.огд/ѵѵікі/Саи_5Іаск 

2 зІаск роіпіег. 5Р/Е5Р/К5Р в х86/х64. 5Р в АРМ. 
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5.2. Для чего используется стек? 

5.2.1. Сохранение адреса возврата управления 

х86 

При вызове другой функции через САН сначала в стек записывается адрес, указывающий на место после инструкции 
САН, затем делается безусловный переход (почти как ЛѴІР) на адрес, указанный в операнде. 

САН - это аналог пары инструкций Р1І5Н асісіге55_аТТег_са11 / ЛѴІР. 

КЕТ вытаскивает из стека значение и передает управление по этому адресу - это аналог пары инструкций РОР Ттр / 
ЛѴІР Ттр. 

Крайне легко устроить переполнение стека, запустив бесконечную рекурсию: 

ѵоісі Т() 

{ 

ТО; 

}; 



М5ѴС 2008 предупреждает о проблеме: 
с:\Ттр6>с1 зз.срр /Разз.азт 

МісгозоТТ (К) 32-ЫТ С/С++ ОрТітігіпд Сотрііег Ѵегзіоп 15.00.21022.08 Тог 80x86 
СоругідИТ (С) МісгозоТТ СогрогаТіоп. АН гі§ТіТз гезегѵесі. 

55.срр 

с : \Ттр6\55 . срр(4) : ѵѵагпіпд С4717: ’Т' : гесигзіѵе оп аіі сопТгоІ раТНз, ТипсТіоп ѵѵііі саизе гипТіте / 
Ч зТаск оѵегТІоѵѵ 



...но, тем не менее, создает нужный код: 

?Т@@ѴАХХ2 РКОС ; Т 



; Рііе с : \Ттр6\зз . срр 



Нпе 


2 






ризТі 


еЬр 




тоѵ 


еЬр, езр 


Нпе 


3 






саіі 


?Т@@ѴАХХ2 


Нпе 


4 






рор 


еЬр 




геТ 


0 



?Т@@УАХХ2 ЕМРР ; Т 



...причем, если включить оптимизацию (/Ох), то будет даже интереснее, без переполнения стека, но работать будет 
корректно 1 : 



?Т@@УАХХ2 РКОС 


; Т 


; Рііе с : \Ттр6\зз . срр 
; Нпе 2 




$и_3@Т: 




; Нпе 3 




]гпр 5Н0КТ $НЗ@Т 




?Т@@УАХХ2 ЕМРР 


; Т 



5.2.2. Передача параметров функции 

Самый распространенный способ передачи параметров в х86 называется «ссіесі»: 

ризТі аг§3 
ризТі аг§2 
ризТі аг§1 
саіі Г 

асісі езр , 12 ; 4*3=12 



З здесь ирония 
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